Q:【網閘】數據庫同步客戶端測試目的數據源報如下錯誤

A：

若出現此問題，請檢查發送客戶端到網閘客戶端任務的端口是否連通，以及目的數據庫地址是否填寫錯誤，應該為目的數據的真實地址。

1、配置拓撲

2、環境介紹

內網用戶需求通過網閘訪問外網2.2.2.2/24的TCP12345端口服務，且需普通訪問實現此需求

3、環境準備

網閘必須具有安全傳輸模塊

4、網閘配置：

4.1 網絡接口配置

內網網絡管理》網絡接口》IPV4接口》物理設備

外網網絡管理》網絡接口》IPV4接口》物理設備

由于兩邊都是局域網，不需要配置路由(實施時請結合自己環境配置路由，配置的路由僅控制本側，不需要配置內到外，或者外到內的路由)

4.2 任務配置

由于需求是內網訪問外網的TCP12345的服務，則配置任務時規劃外網側配置服務端任務，內網側配置客戶端任務。

4.2.1 內網安全傳輸配置

內網》客戶端》安全傳輸》普通訪問

4.2.2 外網安全傳輸配置

外網》服務端》安全傳輸

由于內網客戶端配置任務號為1，則外網的服務端添加的任務號也必須為1，因為內外網擺渡的數據包是通過任務號去匹配的。

4.2.3 開啟安全傳輸的服務

注意：內外網都需要開啟安全傳輸服務

5、業務測試

配置完成后即可驗證任務的正確性，不能利用icmp測試，只能利用telnet方式測試，或者發包工具驗證測試;

第一步，在接收端2.2.2.2/24上利用發包工具監聽tcp的12345端口;

第二步，在發送端1.1.1.2/24上利用發包工具連接目的IP，1.1.1.254(因為是普通訪問模式，只能連接網閘接口地址);

第三步，提示連接成功后，在數據發送窗口輸入測試2019aaa;

第四步，在接收端2.2.2.2上的接收窗口查看數據是否有接收成功;

綜上，在2.2.2.2側的發包工具處看到了1.1.1.2發過來的測試2019aaa信息，代表測試成功。

保證業務流量的雙向數據即可滿足審計要求。一般情況下配置交換機的方法，選擇一個即可：

(1) 配置客戶端所在vlan或接口的both雙向數據流

(2) 配置服務器所在vlan或接口的both雙向數據流

(3) 配置客戶端和服務器所在vlan或接口的rx方向的數據流。

服務器做F5或者主備時，一般做虛擬ip的雙向鏡像即可。根據虛擬IP的接口或vlan配置交換機。

排查方法：

在系統管理-在線工具

命令類型使用nmap

命令參數輸入沒有掃描到的主機ip地址

如果nmap也沒掃描出來，那肯定漏掃也沒法掃描到。

如果nmap掃描出來了(記錄nmap掃描到的端口)，漏掃可以【新建任務】-在【更多選項】-【還原】，把配置模板還原一下，上面nmap掃描的端口是否是常規端口，如果不是，可以在【主機存活探測】增加指定端口里面添加上面記錄的nmap掃描出來的端口，然后重新下發任務。

609密碼丟失恢復密碼操作

　　設備長時間運行，用戶可能長時間未登錄防火墻設備，導致忘記登錄密碼，這時需進行密碼丟失恢復密碼操作。

密碼丟失恢復密碼步驟：

1、確認設備版本信息，升級包信息，是否開啟三權分立;

2、電腦連接設備CONSOLE口;

3、針對不同版本，不同升級包下進行密碼恢復操作。

不同版本，不同升級包恢復密碼操作主要分為如下幾類：

● 3.6.0.9(43226)+G05升級包+未開啟三權分立功能

1) 準備工作

(1)需要一根母頭是232九孔串口、公頭是RJ45網口的串口線，母頭連電腦串口，公頭連接到防火墻CONSOLE口。

(2)打開串口連接軟件，以SecureCRT為例，相關參數如下。

(3)連接設備，檢查是否有提示【XXX login：】，確認串口連接設備成功。

2) 密碼恢復操作

(1)重啟設備，重啟過程中長按電腦鍵盤ESC鍵，直到串口出現系統選擇提示框：

鍵盤上下移動選擇Recover Administrator's Password (systemA) ，選中后敲回車。

備注：當前運行系統為systemA。

(2)密碼自動恢復:

(3)恢復完成后系統自動重啟：

恢復完成后administrator密碼變更為Secu@7766

● 3.6.0.9(43226)+G05升級包+開啟三權分立功能

三權分立功能命令行下只有admin用戶可修改admin、anquan、audit用戶密碼，故anquan、audit用戶密碼丟失情況下可直接連接admin用戶命令行進行修改。

1) 連接admin用戶命令行

(1)需要一根母頭是232九孔串口、公頭是RJ45網口的串口線，母頭連電腦串口，公頭連接到防火墻CONSOLE口。

(2)打開串口連接軟件，以SecureCRT為例，相關參數如下。

(4)連接設備，提示【XXX login：】輸入admin用戶名密碼進入命令行。

2) admin用戶命令行修改anquan、audit用戶密碼

anquan用戶密碼修改命令：admacct set sname anquan dname anquan password XXXX powername anquan_power max_err_num 3

audit用戶密碼修改命令：admacct set sname audit dname audit password XXXX powername audit_power max_err_num 3

密碼解鎖命令：admacct reset name admin/anquan/audit

修改完成后即可在頁面登錄。

若admin用戶密碼丟失，則需要進行恢復系統操作，該方式需確保設備做過雙系統備份(恢復系統后原有配置將丟失)。

1) 準備工作

(1)需要一根母頭是232九孔串口、公頭是RJ45網口的串口線，母頭連電腦串口，公頭連接到防火墻CONSOLE口。

(2)打開串口連接軟件，以SecureCRT為例，相關參數如下。

連接設備，檢查是否有提示【XXX login：】，確認串口連接設備成功

2) 重啟設備進行恢復系統

重啟設備，重啟過程中長按電腦鍵盤ESC鍵，直到串口出現系統選擇提示框：

鍵盤上下移動選擇systemB-3.6.0.9(43226)，選中后敲回車。

系統起來后界面administrator用戶登錄設備進行恢復system A系統操作(administrator初始密碼為Secu@7766或Bane@7766)

● 3.6.0.9(43226)未打G05升級包以及3.6.0.2(20089)版本等版本

對于3.6.0.9(43226)未打G05升級包以及3.6.0.2(20089)版本等版本無密碼恢復功能，默認只能登錄設備后臺進行密碼修改操作。

1) 串口連接設備后臺

(1)需要一根母頭是232九孔串口、公頭是RJ45網口的串口線，母頭連電腦串口，公頭連接到防火墻CONSOLE口。

(2)打開串口連接軟件，以SecureCRT為例，相關參數如下。

(5)連接設備，提示【XXX login：】輸入root用戶名密碼進入命令行。

2) 通過命令修改administrator密碼

administrator密碼修改命令：admacct set sname administrator dname administrator password XXXX powername super max_err_num 3

密碼解鎖命令：admacct reset name administrator

修改完成后即可在頁面登錄。

　　防火墻設計為三系統共存，目的是對系統整個運行環境進行備份，以便于在出現不可恢復的故障時快速還原到正常狀態。

　　正常情況下請使用 systemA 系統，systemB 只是用來備份，請不要在 systemB 中做升級操作!

　　在備份/還原的過程中，會同時把當前系統的軟件版本、升級狀態、系統配置等所有內容都進行同步。授權信息是三個系統公用的，任何一個系統在開啟或關系某個授權以后，另外兩個系統的授權都會受到影響。

　　若需要對設備進行升級或者大量修改配置，都建議在操作之前對當前運行的系統進行備份。

正確的系統備份操作：

1、“備份當前系統(systemA[V3.0])至備份系統”提交;

2、選擇“systemB”，然后“將備份系統(systemA[V3.0])恢復至”提交;

恢復系統的操作：

1、“備份當前系統(systemB[V3.0])至備份系統”提交;

2、選擇“systemA”，然后“將備份系統(systemB[V3.0])恢復至”提交;

(這里認為恢復系統之前，已經進入 B 系統，因為 A 系統已經出現故障)

設備啟動過程中選擇系統的操作：

1、串口連接設備;

2、重啟設備(拔電或者 reboot);

3、立即在串口終端里不停的點 esc 鍵，直到出現可選擇界面，選擇需要的系統進入。

截至到目前(3609U7)版本，防火墻支持以下 IPv6 相關功能：

? IPv6 雙棧

? IPv6 NAT-PT 動態和靜態轉換

? IPv6 6to4 隧道

? IPv6 報文訪問控制

? IPv6 IPS/AV/上網行為管理/流量控制等 7 層控制

? IPv6 擴展頭檢查

? IPv6 OSPFv3/RIPNG 動態路由

? IPv6

V6 和 v4 雙棧部署一般用于 v4 網絡遷移到 v6 網絡的過渡，即防火墻上部分接口連接 v4 網絡并配置 v4 地址、路由以及安全策略，另外一部分接口連接 v6 網絡并配置 v6 地址、路由以及安全策略。

拓撲

(圖4-4)

配置思路

HA主備

防火墻TRUNK+透明橋

下游交換機以上游交換機為網關

詳細配置

A、接口配置TRUNK模式

接口配置TRUNK模式，VLAN封裝標準：dot1q，勾選NATIVE VLAN ID(默認1)，并定義VLAN區間(2-4094)

(圖4-5)

(圖4-6)

B、將定義好的VLAN接口綁在透明橋中

NATIVE VLAN要單獨綁定橋

(圖4-7)

區間子接口綁定橋

(圖4-8)

(圖4-9)

C、防火墻安全選項設置

勾選“包過濾802.1Q(VLAN)承載的IP、IPV6、ARP報文”

(圖4-10)

D、配置安全策略

防火墻根據需要配置安全策略，這里設置全通

(圖4-11)

主墻配置HA

A、配置HA接口

(圖4-12)

B、啟用HA接口

(圖4-13)

C、啟用HA雙機熱備

(圖4-14)

注：

HA標識符必須一致;

主墻節點號為1，備墻為非2;

如無特殊需求，不要開啟搶占;若開搶占，只能主墻開啟;

探測網口主備墻可以不一致，監控的某一端口down即切換;該配置不同步;

探測ip主備墻必須一樣，權重值大于等于100即切換;該配置不同步;

探測網口和探測IP可單選也可多選。

主墻HA配置好后，不要插心跳線，開始配置備墻，備墻HA完成后，保存重啟，在重啟過程中連接好心跳線。

備墻配置HA

A、配置HA接口

(圖4-15)

B、啟用HA接口

(圖4-16)

C、啟用HA雙機熱備

(圖4-17)

HA狀態

正常狀態

節點1為主，非0為備

(圖4-18)

備墻故障狀態

節點1為主，0為故障

(圖4-19)

1)按照上述配置好 GRE 配置;

2)配置 over IPSEC;

(啟用 IPSEC，VPN 關聯接口選擇在 GRE 中配置的接口)

(配置 VPN 規則，用途選擇 GRE over IPSEC，選擇接口為上面配置的接口，配置對端保護網絡為 GRE 配置中指定的遠程網關主機地址)

(配置 IKE，指定對端 IP 地址為 GRE 配置中指定的遠程網關主機地址，配置預共享密鑰，其他配置可以保持默認)

(配置網關隧道，注意“完美前向保密”不能勾選，傳送模式選擇“傳輸模式”)

(啟動隧道)